정보보안기사 필기 기출문제복원 (2013-07-06)

정보보안기사
(2013-07-06 기출문제)

목록

1과목: 시스템 보안

1. 다음은 운영체제의 5계층을 계층별로 설명한 내용이다. 하위계층에서 상위계층으로 바르게 나열된것은?

  1. ㉠-㉢-㉡-㉣-㉤
  2. ㉠-㉡-㉢-㉣-㉤
  3. ㉡-㉠-㉢-㉤-㉣
  4. ㉡-㉠-㉤-㉢-㉣
(정답률: 36%)
  • 정답은 "㉠-㉢-㉡-㉣-㉤" 이다.

    - ㉠ 하드웨어 계층: 컴퓨터 시스템의 물리적인 부분을 담당한다.
    - ㉢ 인터럽트 계층: 하드웨어에서 발생하는 이벤트를 처리하고 운영체제에 알린다.
    - ㉡ 커널 계층: 운영체제의 핵심 기능을 담당한다.
    - ㉣ 사용자 계층: 응용 프로그램과 사용자 인터페이스를 담당한다.
    - ㉤ 응용 프로그램 계층: 사용자가 직접 사용하는 프로그램을 담당한다.

    따라서, 하위계층에서 상위계층으로 바르게 나열된 것은 "㉠-㉢-㉡-㉣-㉤" 이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

2. 사용자가 작성한 프로그램을 운영체제에 실행하도록 제출하면 운영체제는 이를 받아 프로세스를 생성한다. 이 때 생성된 프로세스의 주소 영역(Address Space)을 옳게 열거한 것은?

  1. 메모리 영역, 데이터 영역, 정적영역
  2. 텍스트 영역, 스택 영역, 코드 영역
  3. 코드 영역, 텍스트 영역, 데이터 영역
  4. 코드 영역, 데이터 영역, 스택 영역
(정답률: 50%)
  • 정답은 "코드 영역, 데이터 영역, 스택 영역"이다.

    - 코드 영역: 프로그램 코드가 저장되는 영역으로, 실행 파일의 명령어들이 저장된다.
    - 데이터 영역: 전역 변수와 정적 변수가 저장되는 영역으로, 프로그램이 실행될 때부터 종료될 때까지 유지된다.
    - 스택 영역: 지역 변수와 함수 호출 시 생성되는 지역 변수가 저장되는 영역으로, 함수 호출이 끝나면 해당 변수들이 소멸된다.

    따라서, 프로세스가 생성될 때 이 세 영역이 각각 할당되어 프로세스의 주소 영역을 구성하게 된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

3. 유닉스계열의 시스템에서 핵심부분인 커널(Kernel)에 대한 설명으로 옳지 않은 것은?

  1. 유닉스 시스템의 구성은 커널(Kernel), 셀(Shell), 파일시스템(File System)으로 구성되며, 커널은 프로세스 관리, 메모리 관리, 입출력 관리를 수행한다.
  2. 커널(Kernel)은 데몬(Daemon) 프로세스를 실행하고 관리한다.
  3. 유닉스계열의 시스템이 부팅될 때 가장 먼저 읽혀지는 핵심 부분으로 보조기억장치에 상주한다.
  4. 커널(Kernel)은 셀(Shell)과 상호 연관되며 작업을 수행한다.
(정답률: 75%)
  • "커널(Kernel)은 데몬(Daemon) 프로세스를 실행하고 관리한다."는 옳은 설명이다.

    유닉스계열의 시스템이 부팅될 때 가장 먼저 읽혀지는 핵심 부분으로 보조기억장치에 상주하는 이유는, 커널이 시스템의 모든 하드웨어와 소프트웨어 자원을 초기화하고, 프로세스 관리, 메모리 관리, 입출력 관리 등의 핵심 기능을 수행하기 위해서이다. 따라서 커널은 시스템이 부팅될 때 가장 먼저 실행되어야 하며, 이를 위해 보조기억장치에 상주하게 된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

4. 유닉스계열의 시스템에서 일반 계정의 비밀번호를 저장할 때 암호화하여 저장한다. 일반적으로 어떤 알고리즘을 이용하여 저장하는가?

  1. DES
  2. MD5
  3. SHA
  4. RSA
(정답률: 15%)
  • 유닉스계열의 시스템에서는 일반적으로 MD5 또는 SHA 알고리즘을 이용하여 비밀번호를 암호화하여 저장한다. 그 중에서도 SHA 알고리즘은 더욱 안전하고 강력한 암호화 방식으로, 보안성이 높아서 일반적으로 더 많이 사용된다. 따라서 정답은 "SHA"이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

5. 다음 중에서 유닉스 운영체제에 관한 설명으로 옳지 않은 것은?

  1. 유닉스 운영체제는 커널, 셀, 파일 시스템으로 구성된다.
  2. 파일 시스템은 환경에 대한 정보를 담고 있는 /etc 디렉터리가 있고, 장치에 대한 것은 /dev에 있다.
  3. 셀에는 C shell, Bourne shell, Korn shell 등이 있다.
  4. OLE(Object Linking Embedded)를 사용한다.
(정답률: 72%)
  • OLE(Object Linking Embedded)를 사용하는 것은 윈도우 운영체제에서 사용되는 기술이며, 유닉스 운영체제에서는 사용되지 않는다. 따라서, "OLE(Object Linking Embedded)를 사용한다."는 옳지 않은 설명이다.

    OLE(Object Linking Embedded)는 다른 애플리케이션에서 작성된 객체를 현재 애플리케이션에 삽입하여 사용하는 기술로, 윈도우 운영체제에서 주로 사용된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

6. 다음은 어떤 접근제어 정책을 설명하고 있는 것인가?

  1. MAC
  2. RBAC
  3. Access Control List
  4. DAC
(정답률: 70%)
  • 이 그림은 DAC (Discretionary Access Control) 접근제어 정책을 설명하고 있다. DAC는 자원 소유자가 자원에 대한 접근 권한을 결정하는 방식으로, 사용자가 자신이 소유한 자원에 대한 권한을 부여하거나 취소할 수 있다. 이 그림에서는 파일 소유자가 파일에 대한 접근 권한을 설정하고, 다른 사용자들은 파일 소유자가 설정한 권한에 따라 파일에 접근할 수 있는지 결정된다. 따라서 이 그림은 DAC 접근제어 정책을 나타내고 있으며, 정답은 "DAC"이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

7. 선택한 모든 파일을 백업하지만 백업이 완료된 파일의 Archive bit를 해제하지는 않으며, 스케줄링 백업 일정에 영향을 미치지 않는 백업방식은 어느 것인가?

  1. 일반 백업
  2. 증분 백업
  3. 복사 백업
  4. 차등 백업
(정답률: 49%)
  • 복사 백업은 선택한 모든 파일을 백업하지만, 백업이 완료된 파일의 Archive bit를 해제하지 않으며, 스케줄링 백업 일정에 영향을 미치지 않는 백업 방식입니다. 이는 파일을 그대로 복사하여 백업하기 때문에 원본 파일과 백업 파일이 완전히 동일하며, 백업 파일을 복원할 때도 원본 파일과 동일한 상태로 복원됩니다. 따라서, 복사 백업은 스케줄링 백업 일정에 영향을 미치지 않으며, 백업 파일을 복원할 때도 원본 파일과 동일한 상태로 복원할 수 있기 때문에 많이 사용됩니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

8. 윈도우에서 관리 목적상 기본적으로 공유되는 폴더 중에서 Null Session Share 취약점을 갖는 것은?

  1. C$
  2. G$
  3. IPC$
  4. ADMIN$
(정답률: 83%)
  • IPC$는 Interprocess Communication의 약자로, 프로세스 간 통신을 위한 공유 폴더입니다. 이 폴더는 기본적으로 모든 사용자에게 읽기 권한이 부여되어 있으며, Null Session이라는 취약점을 이용하여 해당 폴더에 접근하면 시스템 정보를 탈취하거나 원격으로 제어할 수 있는 등의 보안 문제가 발생할 수 있습니다. 따라서 IPC$는 Null Session Share 취약점을 갖는 폴더 중 하나입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

9. 다음에서 설명하는 공격용 소프트웨어는 무엇인가?

  1. Root Kit
  2. Key Logger software
  3. Port Scanning
  4. Nessassin
(정답률: 75%)
  • 이 소프트웨어는 키보드 입력을 모니터링하고 기록하는 기능을 가진 Key Logger software이다. 그림에서는 "Type here"란 입력창에 입력된 모든 키보드 입력이 기록되고 있다. 이는 사용자의 비밀번호나 개인정보를 탈취하는 등의 악용이 가능하므로 공격용 소프트웨어로 분류된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

10. 서버 보안을 강화하기 위한 방법으로 서버에 들어오고 나가는 IP 트래픽을 제어할 수 있는 방법은?

  1. ipchain/iptable
  2. IP Control/mod_security
  3. mod_security/nmap
  4. IP Manager/IP Filtering
(정답률: 60%)
  • "ipchain/iptable"은 리눅스 운영체제에서 사용되는 방화벽 프로그램으로, 서버에 들어오고 나가는 IP 트래픽을 제어할 수 있습니다. 이를 통해 서버에 불필요한 접근을 차단하거나, 허용된 IP 주소만 접근할 수 있도록 설정할 수 있어 서버 보안을 강화할 수 있습니다. 다른 보기들은 서버 보안을 강화하는 방법이지만, IP 트래픽을 제어하는 기능은 "ipchain/iptable"에만 해당합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

11. 만약 Setuid 사용을 허락하고 싶은 계정인 ‘user-name’을 임의의 그룹에 추가하고 싶을 때 알맞은 명령어는?(오류 신고가 접수된 문제입니다. 반드시 정답과 해설을 확인하시기 바랍니다.)

  1. #usermod –F 200 user-name
  2. #usermod –G 100 user-name
  3. #usermod –F 100 user-name
  4. #useradd –G 100 user-name
(정답률: 15%)
  • Setuid 사용을 허락하려면 해당 계정을 특정 그룹에 추가해야 합니다. 이때, Setuid를 허용하는 그룹은 일반적으로 200번 그룹입니다. 따라서, "#usermod –F 200 user-name" 명령어를 사용하여 'user-name' 계정을 200번 그룹에 추가할 수 있습니다. 다른 보기들은 Setuid와는 관련이 없거나, 다른 그룹을 추가하는 명령어이므로 정답이 아닙니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

12. 윈도우의 NTFS 파일시스템 설명으로 옳지 않은 것은?

  1. NTFS의 보안설정은 everyone 그룹에 대하여 모든 권한은 '불가'이다.
  2. net share 폴더에 의해서 공유 폴더를 확인할 수 있다.
  3. 윈도우 파일시스템에는 FAT16, FAT32, NTFS가 존재하며, NTFS는 윈도우 NT, 윈도우 2000, 윈도우 XP에서 사용된다.
  4. 윈도우에서는 manager에게 작업을 분담시키고 하드웨어를 제어하는 것은 Object Manager이다.
(정답률: 45%)
  • "NTFS의 보안설정은 everyone 그룹에 대하여 모든 권한은 '불가'이다."가 옳지 않은 것이다. NTFS의 보안설정에서 everyone 그룹에 대해 모든 권한을 '불가'로 설정하는 것은 가능하지만, 이는 선택적인 설정이며 기본적으로는 everyone 그룹에 대해 일부 권한이 허용된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

13. 유닉스 파일시스템 설명으로 옳지 않은 것은?

  1. 파일의 권한은 소유자, 그룹, 일반 사용자로 구성되어 있다.
  2. 파일의 변경 또는 삭제는 소유자만 가능하다.
  3. 유닉스 파일 시스템은 NFS(Network File System)를 통해서 파일을 공유할 수 있다.
  4. 파일 시스템은 계층 형으로 구성되어 있다.
(정답률: 42%)
  • "파일의 변경 또는 삭제는 소유자만 가능하다."가 옳지 않은 것이다. 파일의 권한 중에는 소유자, 그룹, 일반 사용자에 대한 읽기, 쓰기, 실행 권한이 있으며, 이 권한에 따라 파일의 변경 또는 삭제가 가능하다. 소유자가 권한을 설정하지 않았다면 그룹과 일반 사용자도 파일을 변경하거나 삭제할 수 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

14. 파일시스템에서 가용공간(Free Space)을 관리하기 위해 사용하는 방법이 존재한다. 다음은 가용 공간 리스트를 유지하는 방법 중에서 무엇을 설명한 것인가?

  1. 비트벡터(Bit Vector)
  2. 비트맵(Bitmap)
  3. 해시테이블(Hash Table)
  4. 클러스터(Cluster)
(정답률: 32%)
  • 위 그림은 비트벡터(Bit Vector)를 사용한 가용 공간 리스트를 나타낸 것이다. 비트벡터는 각 블록의 상태를 0 또는 1의 비트로 표현하여 가용 공간을 관리하는 방법이다. 이 방법은 간단하고 빠르게 가용 공간을 찾을 수 있으며, 메모리 사용량도 적다는 장점이 있다. 따라서 파일시스템에서 가용공간을 관리하기 위해 주로 사용된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

15. 유닉스 시스템의 로그 분석에 사용하는 파일이 담고 있는 내용으로 옳지 않은 것은?

  1. wtmp : 사용자 시스템 시작과 종료 시간, 로그인과 로그아웃 시간 기록
  2. sulog : su(switch user) 명령어와 관련된 로그 기록
  3. utmp : 시스템에 전에 로그인했던 사용자의 정보를 기록
  4. logging : 로그인 실패에 대한 정보를 기록
(정답률: 49%)
  • 정답은 "logging : 로그인 실패에 대한 정보를 기록"입니다.

    utmp 파일은 시스템에 현재 로그인 중인 사용자의 정보와 이전에 로그인한 사용자의 정보를 기록합니다. 이 정보에는 사용자 이름, 로그인 시간, 로그인한 터미널 등이 포함됩니다.

    sulog 파일은 su 명령어를 사용하여 다른 사용자로 전환할 때의 로그를 기록합니다.

    wtmp 파일은 시스템 시작 및 종료 시간, 사용자 로그인 및 로그아웃 시간 등을 기록합니다.

    logging 파일은 로그인 실패에 대한 정보를 기록하는 파일은 아니며, 정확한 파일 이름은 시스템에 따라 다를 수 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

16. 다음 중에서 snort를 이용하여 탐지할 수 없는 공격은 무엇인가?

  1. 버퍼 오버플로우(Buffer OverFlow)
  2. 사전 공격(Dictionary Attack)
  3. TCP SYN Flooding
  4. IP Filtering
(정답률: 43%)
  • snort는 네트워크 상에서 패킷을 분석하여 악성 행위를 탐지하는 시스템이다. 따라서, snort를 이용하여 탐지할 수 없는 공격은 네트워크 상에서 패킷을 전송하지 않는 공격이다. 이 중에서 사전 공격은 패스워드를 추측하여 로그인을 시도하는 공격으로, 네트워크 상에서 패킷을 전송하지 않아 snort로는 탐지할 수 없다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

17. 다음 중에서 스캔 공격 및 탐지 도구에 대한 설명으로 옳지 않은 것은?

  1. nikto는 6,500개 이상의 잠재적인 위험 파일(CGI)을 포함한 웹서버 스캐너, 인덱스 파일, 서버 문제, 취약점을 파악할 수 있다.
  2. sscan은 리눅스 포트 스캔 툴이다.
  3. 시스템에서 실시간 I/O 장비 스캔 탐지도구로는 portsentry, scanlogd, scanded 등이 있다.
  4. 스캐닝 공격은 특정 보안 취약점만 스캔하는 특정 취약점 스캔 공격, 스캐닝 사실을 숨기기 위한 은닉(Stealth) 스캔 등이 있다.
(정답률: 43%)
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

18. 다음 중에서 버퍼 오버플로우(Buffer Overflow)에 대한 설명으로 옳지 않은 것은?

  1. 버퍼에 저장된 프로세스들 간의 자원경쟁을 야기 시켜 권한을 획득하는 기법으로 공격한다.
  2. 메모리에서 스택영역에 복귀주소를 가진다. 스택 오버플로우(Stack Overflow)는 복귀주소에 악성 모듈을 삽입하여 공격할 수 있다.
  3. 힙(Heap)영역은 malloc 혹은 new의 동적 함수로 할당된다.
  4. 버퍼 오버플로우(Buffer Overflow)는 제한된 메모리를 초과한다.
(정답률: 52%)
  • "버퍼에 저장된 프로세스들 간의 자원경쟁을 야기 시켜 권한을 획득하는 기법으로 공격한다."는 버퍼 오버플로우와는 관련이 없는 내용이므로 옳지 않은 설명이다.

    버퍼 오버플로우는 입력받은 데이터가 버퍼의 크기를 초과하여 인접한 메모리 공간을 침범하는 것을 의미한다. 이를 이용하여 악성 코드를 실행시키거나 시스템의 동작을 변경시키는 공격 기법이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

19. 다음 중에서 시스템의 취약성 점검을 위하여 사용할 수 있는 도구가 아닌 것은?

  1. ping
  2. SATAN
  3. SAINT
  4. NESSUS
(정답률: 64%)
  • "ping"은 네트워크 상태를 확인하기 위한 도구로, 시스템의 취약성을 점검하는 도구는 아닙니다. "SATAN", "SAINT", "NESSUS"는 시스템의 취약성을 점검하기 위한 도구입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

20. 가상메모리를 지원하는 운영체제에서 성능은 가상주소를 실주소로 변환하는 DAT(Dynamic Address Translation)에 의해 영향을 받는다. DAT 속도가 빠른 순서에서 느린 순서로 열거한 것은?

  1. 직접사상-직접/연관사상-연관사상
  2. 직접/연관사상-연관사상-직접사상
  3. 연관사상-직접사상-직접/연관사상
  4. 연관사상-직접/연관사상-직접사상
(정답률: 52%)
  • 1. 연관사상-직접/연관사상-직접사상
    2. 연관사상-직접사상-직접/연관사상
    3. 직접/연관사상-연관사상-직접사상
    4. 직접사상-직접/연관사상-연관사상

    가상주소를 실주소로 변환하는 DAT 속도가 빠른 순서는 연관사상-직접/연관사상-직접사상, 연관사상-직접사상-직접/연관사상, 직접/연관사상-연관사상-직접사상, 직접사상-직접/연관사상-연관사상 순서이다.

    이유는 연관사상-직접/연관사상-직접사상 방식은 TLB(Translation Lookaside Buffer)를 사용하여 가상주소와 실주소의 매핑 정보를 빠르게 찾아내기 때문에 속도가 빠르다. 또한, 연관사상 방식은 최근에 사용된 매핑 정보를 더 높은 우선순위로 저장하기 때문에 캐시 히트율이 높아져 성능이 향상된다.

    반면에 직접사상 방식은 가상주소와 실주소의 매핑 정보를 메모리에서 매번 찾아야 하기 때문에 속도가 느리다. 또한, 직접/연관사상 방식은 TLB와 캐시를 모두 사용하기 때문에 메모리 접근이 더 많아져 성능이 저하된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

2과목: 네트워크 보안

21. 다음 중에서 데이터링크 계층에 대한 설명으로 옳지 않은 것은?

  1. 데이터링크 계층(Datalink Layer)은 에러처리(Error Control)를 수행한다.
  2. Flag와 패턴이 데이터에 나타날 경우에 대비하여 네트워크 계층에서 이를 처리하기 위한 메커니즘을 가지고 있다.
  3. MAC(Media Access Control) 주소 제어와 데이터링크 제어를 한다.
  4. 에러제어 및 흐름제어 역할을 한다.
(정답률: 57%)
  • "Flag와 패턴이 데이터에 나타날 경우에 대비하여 네트워크 계층에서 이를 처리하기 위한 메커니즘을 가지고 있다."는 데이터링크 계층에 대한 설명으로 옳지 않다. 이는 네트워크 계층에서 처리하는 것이 아니라 데이터링크 계층에서 처리하는 것이다.

    데이터링크 계층은 MAC(Media Access Control) 주소 제어와 데이터링크 제어를 수행하며, 에러제어 및 흐름제어 역할도 한다. 데이터링크 계층은 물리적인 매체를 통해 데이터를 전송하고, 전송된 데이터가 손상되거나 유실되는 것을 방지하기 위해 에러제어를 수행한다. 또한, 데이터의 흐름을 제어하여 송신측과 수신측 간의 데이터 전송 속도 차이를 조절하며, 충돌을 방지하기 위해 미디어 접근 제어(MAC) 프로토콜을 사용하여 데이터 전송을 조절한다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

22. 다음 중에서 TCP 프로토콜에 대한 설명으로 옳지 않은 것은?

  1. 신뢰성 있는 연결지향
  2. 3-Way Handshaking
  3. 데이터를 세그먼트 단위로 전송
  4. 모든 세그먼트는 순번을 지정하지만, 데이터 전달을 확인할 필요가 없다.
(정답률: 77%)
  • "모든 세그먼트는 순번을 지정하지만, 데이터 전달을 확인할 필요가 없다."는 옳지 않은 설명이다. TCP 프로토콜은 신뢰성 있는 연결지향 프로토콜로, 3-Way Handshaking을 통해 연결을 설정하고, 데이터를 세그먼트 단위로 전송한다. 또한, 모든 세그먼트는 순번을 지정하며, 데이터 전달을 확인하기 위해 ACK(수신확인) 메시지를 보내고, 재전송 등의 기능을 제공하여 신뢰성을 보장한다. 따라서, "모든 세그먼트는 순번을 지정하지만, 데이터 전달을 확인할 필요가 없다."는 옳지 않은 설명이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

23. 다음은 TCP 프로토콜의 타이머에 대한 설명이다. 옳지 않은 것은?

  1. TCP 타이머에서 재전송 타이머(RTO, Retransmission Time Out)값으로 설정하고 타이머가 끝나기 전에 확인응답이 수신되면 타이머는 소멸한다.
  2. 왕복시간(RTT, Round Trip Time)은 재전송 초과 값을 계산하기 위해서 왕복시간을 계산한다.
  3. 영속 타이머는 교착상태가 발생한다.
  4. RTO 값은 초기 RTT 값을 기준으로 항상 고정되어 있다.
(정답률: 49%)
  • "RTO 값은 초기 RTT 값을 기준으로 항상 고정되어 있다."는 옳지 않은 설명이다. RTO 값은 초기 RTT 값을 기준으로 계산되지만, 이후에는 계속해서 동적으로 조정되며 네트워크 상황에 따라 변화할 수 있다. 따라서 RTO 값은 항상 고정되어 있지 않다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

24. 다음 ( )안에 알맞은 OSI 계층은?

  1. 1계층
  2. 2계층
  3. 3계층
  4. 4계층
(정답률: 72%)
  • 이미지에서 보이는 것은 IP 주소이며, IP 주소는 네트워크 계층(3계층)에서 사용된다. 따라서 정답은 "3계층"이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

25. 다음 중에서 IPv6에 관한 설명으로 옳지 않은 것은?

  1. IP주소 부족 문제를 해결하기 위하여 등장했다.
  2. 확장된 주소 필드를 사용하여 12개 필드를 사용한다.
  3. 128비트 체계를 지원한다.
  4. IPv6에서는 IPSec 기능을 기본 사항으로 제공
(정답률: 61%)
  • "확장된 주소 필드를 사용하여 12개 필드를 사용한다."는 옳지 않은 설명이다. IPv6에서는 128비트 체계를 사용하며, 이를 8개의 16진수 블록으로 표현한다. 따라서 IPv6 주소는 8개의 필드를 사용한다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

26. 클라이언트는 DNS 질의가 요청되었을 경우 제일 먼저 DNS Cache를 확인하게 되는데, 다음에서 수행된 DNS Cache를 확인하는 명령어는?

  1. ipconfig /dnsdisplay
  2. ipconfig /displaydns
  3. ipconfig /flushdns
  4. ipconfig /dnsflush
(정답률: 71%)
  • 정답은 "ipconfig /displaydns"이다. 이 명령어는 현재 시스템의 DNS Cache를 보여주는 역할을 한다. 따라서 클라이언트가 DNS 질의를 요청했을 때, 이 명령어를 사용하여 DNS Cache를 확인할 수 있다. "ipconfig /dnsdisplay"와 "ipconfig /dnsflush"는 잘못된 명령어이며, "ipconfig /flushdns"는 DNS Cache를 비우는 명령어이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

27. VLAN(Virtual LAN)에 대한 설명으로 옳지 않은 것은?

  1. Port기반 VLAN은 어플리케이션 포트를 VLAN에 할당한다.
  2. 가장 일반적인 방식은 Static VLAN으로 각 포트들을 원하는 VLAN에 하나씩 배정한다.
  3. Access Port는 하나의 Port에 하나의 VLAN이 속한다.
  4. Trunk Port는 하나의 포트에 여러 개의 VLAN Frame이 전송될 수 있다.
(정답률: 25%)
  • "Port기반 VLAN은 어플리케이션 포트를 VLAN에 할당한다."는 옳은 설명이다. VLAN은 네트워크를 논리적으로 분할하는 기술로, 하나의 물리적 네트워크를 여러 개의 가상 네트워크로 나누어 관리할 수 있다. 가장 일반적인 방식은 Static VLAN로 각 포트들을 원하는 VLAN에 하나씩 배정하며, Access Port는 하나의 Port에 하나의 VLAN이 속하고, Trunk Port는 하나의 포트에 여러 개의 VLAN Frame이 전송될 수 있다. 따라서, "Port기반 VLAN은 어플리케이션 포트를 VLAN에 할당한다."는 옳은 설명이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

28. NIC(Network Interface Card)에 대한 설명으로 옳지 않은 것은?

  1. 기본적인 기능은 회선에 데이터를 송수신하는 역할을 한다.
  2. 각 디바이스를 네트워크 회선 연결 시스템으로 연결한다.
  3. 통신망 구성 요소 중 가장 하위 레벨의 물리적인 접속 기기이다.
  4. 네트워크에 정보를 전송하기 위해서 병렬구조로 데이터를 바꾼다.
(정답률: 58%)
  • "네트워크에 정보를 전송하기 위해서 병렬구조로 데이터를 바꾼다."는 NIC의 역할과 관련이 없는 설명이다. NIC의 기본적인 기능은 회선에 데이터를 송수신하는 역할을 하며, 각 디바이스를 네트워크 회선 연결 시스템으로 연결하고, 통신망 구성 요소 중 가장 하위 레벨의 물리적인 접속 기기이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

29. 라우터(Router)를 이용한 네트워크 보안 설정 방법 중에서 내부 네트워크로 유입되는 패킷의 소스 IP나 목적지 포트 등을 체크하여 적용하거나 거부하도록 필터링 과정을 수행하는 것은?

  1. Ingress Filtering
  2. Egress Filtering
  3. Unicast RFP
  4. Packet Sniffing
(정답률: 65%)
  • "Ingress Filtering"은 라우터를 통해 내부 네트워크로 들어오는 패킷의 소스 IP나 목적지 포트 등을 체크하여 적용하거나 거부하는 필터링 과정을 수행하는 것이기 때문입니다. 다른 보기들은 이와는 다른 기능을 수행합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

30. 다음은 라우터(Router)를 이용한 네트워크 보안 설정에 대한 내용이다. 옳은 것을 모두 고르면?

  1. 가, 나
  2. 가, 나. 다, 라
  3. 가, 나, 라
  4. 나, 다, 라
(정답률: 38%)
  • - 가: 라우터를 이용하여 외부에서 내부로 들어오는 패킷을 차단하는 방법 중 하나인 "인바운드 필터링"을 설정하였기 때문에 옳다.
    - 나: 내부에서 외부로 나가는 패킷도 보안에 취약하므로, "아웃바운드 필터링"을 설정하여 외부로 나가는 패킷도 제어할 수 있도록 하였기 때문에 옳다. 또한, VPN을 이용하여 외부에서 내부로 접속할 때 인증을 요구하도록 설정하였기 때문에 옳다.
    - 다: VPN을 이용하여 외부에서 내부로 접속할 때 인증을 요구하도록 설정하였기 때문에 옳다.
    - 라: 내부에서 외부로 나가는 패킷도 보안에 취약하므로, "아웃바운드 필터링"을 설정하여 외부로 나가는 패킷도 제어할 수 있도록 하였기 때문에 옳다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

31. 한 개의 ICMP(Internet Control Message Protocol) 패킷으로 많은 부하를 일으켜 정상적인 서비스를 방해하는 공격 기법은?

  1. Ping of Death
  2. Land Attack
  3. IP Spoofing
  4. Hash DDoS
(정답률: 68%)
  • "Ping of Death"는 하나의 ICMP 패킷으로 매우 큰 크기의 데이터를 보내 정상적인 처리를 방해하는 공격 기법입니다. 이는 수신측에서 패킷을 처리하는 과정에서 버퍼 오버플로우가 발생하여 시스템이 다운되거나 불안정해지는 결과를 초래할 수 있습니다. 따라서 이 공격 기법은 서비스 거부 공격(Denial of Service, DoS)의 일종으로 분류됩니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

32. 다음 중에서 원격지 운영체제(OS)를 탐지해 내는 방법으로 옳지 않은 것은?

  1. telnet, IP port, ftp 등을 이용한다.
  2. nmap -v –oX 옵션을 이용한다.
  3. TCP의 초기 시퀀스 넘버를 확인한다.
  4. HTTP GET과 서버의 포워드를 grep한다.
(정답률: 37%)
  • TCP의 초기 시퀀스 넘버를 확인하는 것은 원격지 OS를 탐지하는 방법 중 하나이다. 초기 시퀀스 넘버는 TCP 연결을 설정할 때 클라이언트와 서버 간에 교환되는 값으로, 각각의 운영체제에서 이 값이 다르게 설정되기 때문에 이를 확인하여 운영체제를 파악할 수 있다. 따라서 "TCP의 초기 시퀀스 넘버를 확인한다."가 옳지 않은 것은 아니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

33. 다음 중에서 포트 스캔 공격을 했을 때 포트가 열린 경우 돌아오는 응답이 다른 하나는?

  1. Xmas Scan
  2. NULL 스캔
  3. TCP Open
  4. UDP 스캔
(정답률: 49%)
  • TCP Open은 정상적인 포트 스캔 공격에서 포트가 열린 경우 돌아오는 응답으로, 해당 포트가 열려있음을 나타내는 응답이다. Xmas Scan, NULL 스캔, UDP 스캔은 모두 포트 스캔 공격 기법 중 하나이지만, 각각의 경우에 따라 응답이 다르게 나타난다. Xmas Scan과 NULL 스캔은 포트가 닫혀있는 경우에도 응답을 받을 수 있으며, UDP 스캔은 UDP 프로토콜을 사용하기 때문에 응답이 다르게 나타난다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

34. 포트 스캔 공격과 연관성이 없는 것은?

  1. nmap –sT를 통해서 TCP Scan을 수행할 수 있다.
  2. 정보수집 단계에서 웹 스캔, 포트 스캔을 통해서 운영체제 버전과 종류를 파악할 수 있다.
  3. 스텔스 스캔은 로그를 기록하지 않고 포트 스캔을 수행한다.
  4. UDP Scan은 포트가 열려있을 경우 ICMP Echo Unreachable 패킷을 전송한다.
(정답률: 73%)
  • 정답은 "UDP Scan은 포트가 열려있을 경우 ICMP Echo Unreachable 패킷을 전송한다." 이다. 이유는 포트 스캔 공격과 연관성이 없는 것은 "정보수집 단계에서 웹 스캔, 포트 스캔을 통해서 운영체제 버전과 종류를 파악할 수 있다." 이다. 이는 포트 스캔 공격이 아니라 정보수집 방법 중 하나이기 때문이다.

    UDP Scan은 포트 스캔 기법 중 하나로, UDP 패킷을 전송하여 해당 포트가 열려있는지 여부를 확인하는 방법이다. 만약 해당 포트가 열려있다면, ICMP Echo Unreachable 패킷을 전송하여 응답을 받는다. 이를 통해 해당 포트가 열려있는지 여부를 확인할 수 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

35. 다음 보기의 현상이 나타나게 된 공격에 대한 설명으로 옳은 것은?

  1. 공격 성공 후 패킷은 공격자가 설정해 놓은 시스템으로 전송된다.
  2. ARP Cache Table을 정적으로 설정하기 위해서는 arp –d 옵션을 사용한다.
  3. 네트워크를 주기적으로 모니터링 한다고 해서 예방할 수 없다.
  4. ARP Broadcast를 사용하는 공격기법이고 ARP Broadcast시에 인증을 수행한다.
(정답률: 44%)
  • 이 보기는 ARP Spoofing 공격에 대한 설명이다. ARP Spoofing 공격은 공격자가 자신의 MAC 주소를 가짜 IP 주소와 매핑하여 네트워크 상에서 다른 시스템들을 속이는 공격이다. 이 공격이 성공하면 공격자는 다른 시스템들의 통신을 가로채고, 수정하거나 중단시킬 수 있다. 따라서 공격 성공 후 패킷은 공격자가 설정해 놓은 시스템으로 전송된다. ARP Cache Table을 정적으로 설정하기 위해서는 arp –s 옵션을 사용해야 하며, 네트워크를 주기적으로 모니터링하면 이러한 공격을 예방할 수 있다. ARP Broadcast를 사용하는 공격기법이며, ARP Broadcast시에 인증을 수행하지 않기 때문에 공격자가 가짜 MAC 주소를 전송하면 다른 시스템들은 이를 신뢰하고 가짜 IP 주소와 통신하게 된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

36. 다음에서 나타내는 망구성도의 특징을 설명한 것으로 옳은 것을 모두 고르시오.

  1. 가, 나, 다, 라, 마
  2. 가, 나, 다
  3. 가, 나, 라
  4. 나, 다, 마
(정답률: 20%)
  • - 가: 스타 토폴로지로, 중앙에 중요한 서버가 위치하고 그 주위에 다수의 클라이언트가 붙는 형태이다.
    - 나: 스타 토폴로지에서 중앙 서버에 장애가 발생하면 전체 네트워크가 마비될 수 있지만, 이 망구성도에서는 중앙 서버와 각 클라이언트 간의 연결이 별도로 이루어져 있어 중앙 서버에 장애가 발생해도 일부 클라이언트는 정상적으로 작동할 수 있다.
    - 라: 각 클라이언트 간의 연결이 별도로 이루어져 있어서, 클라이언트 간의 통신이 필요한 경우 중앙 서버를 거치지 않고 직접 통신할 수 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

37. 방화벽 구축에 관한 그림의 설명으로 옳은 것은?

  1. Dual Homed
  2. Bastion Host
  3. Screened Host
  4. Screened Subnet
(정답률: 28%)
  • 이 그림에서 "Screened Host"는 외부 네트워크와 내부 네트워크 사이에 위치한 보안장치로, 외부에서 내부로의 접근을 제한하고 내부에서 외부로의 통신을 허용하는 역할을 합니다. 이를 위해 "Screened Subnet"과 "Bastion Host"를 사용하여 외부에서 내부로의 접근을 제한하고, 내부에서 외부로의 통신은 "Dual Homed" 방식으로 허용합니다. 따라서 "Screened Host"가 가장 적절한 보안장치입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

38. 스텔스(Stealth) 모드 침입탐지시스템의 특징을 설명한 것으로 옳은 것은?

  1. 네트워크 패킷을 분석하고 침입을 탐지한다.
  2. 침입을 탐지해도 아무런 조치를 하지 않는다.
  3. IDS 호스트에 네트워크 감시용과 일반용도 2개의 네트워크 인터페이스를 두고 네트워크 감시용 인터페이스는 외부로 어떠한 패킷도 보내지 않는다.
  4. 일반적으로 침입탐지시스템(IDS)은 탐지할 수 없는 은닉공격 행위도 탐지한다.
(정답률: 39%)
  • 일반적으로 침입탐지시스템(IDS)은 탐지할 수 없는 은닉공격 행위도 탐지한다는 것은, 스텔스 모드 침입탐지시스템은 네트워크 감시용 인터페이스가 외부로 어떠한 패킷도 보내지 않기 때문에, 침입자가 은닉공격을 시도하더라도 IDS가 패킷을 탐지할 수 있다는 것을 의미합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

39. 다음 중에서 침입탐지시스템을 도입하기 위한 과정에서 가장 먼저 선정해야 하는 것은?

  1. 조직에서 보호해야할 자산 산정
  2. 탐지기능 파악
  3. 위험 분석을 통한 취약점 분석
  4. BMT 및 침입탐지시스템 설치
(정답률: 53%)
  • 침입탐지시스템을 도입하기 전에 가장 먼저 해야 할 일은 조직에서 보호해야 할 자산을 산정하는 것입니다. 이는 침입탐지시스템을 설치할 때 어떤 자산을 보호해야 하는지를 파악하고, 이를 기반으로 적절한 탐지기능과 취약점 분석을 수행할 수 있기 때문입니다. 따라서 이 단계를 건너뛰면 침입탐지시스템을 효과적으로 활용할 수 없을 뿐만 아니라, 보호해야 할 자산을 놓치는 등의 심각한 문제가 발생할 수 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

40. 다음에서 설명하는 공격방식은 무엇인가?

  1. Land Attack
  2. Smurf Attack
  3. Ping of Death Attack
  4. Teardrop Attack
(정답률: 74%)
  • 이 공격은 "Land Attack"이다. 이 공격은 공격자가 송신자와 수신자의 IP 주소를 동일하게 설정하여, 수신자가 자신에게 보내는 패킷을 자신에게 다시 보내는 반사 공격이다. 이로 인해 수신자는 자신이 보낸 패킷을 계속해서 받게 되어 서비스 거부 상태가 된다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

3과목: 어플리케이션 보안

41. FTP 프로토콜에서 데이터 전송 모드에 관한 설명으로 옳은 것은?

  1. FTP는 TCP와 UDP 프로토콜을 함께 사용한다.
  2. Default는 Active모드이며, Passive모드로의 변경은 FTP 클라이언트가 결정한다.
  3. Passive모드로의 변경은 FTP 서버가 결정한다.
  4. FTP 명령과 데이터가 같은 포트를 사용한다.
(정답률: 75%)
  • FTP 프로토콜에서 데이터 전송 모드는 Active 모드와 Passive 모드가 있다. Active 모드는 FTP 클라이언트가 서버에게 데이터 전송을 요청하면, 서버가 클라이언트에게 데이터를 전송하기 위해 새로운 포트를 열어 데이터를 전송한다. Passive 모드는 FTP 클라이언트가 서버에게 데이터 전송을 요청하면, 서버가 클라이언트에게 데이터를 전송하기 위해 새로운 포트를 열어 대기하고, 클라이언트가 해당 포트로 접속하여 데이터를 전송한다. Default는 Active 모드이며, Passive 모드로의 변경은 FTP 클라이언트가 결정한다. 이는 FTP 클라이언트가 방화벽 등의 보안장치 뒤에 있을 경우, Passive 모드로 변경하여 데이터 전송을 보다 안전하게 할 수 있기 때문이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

42. 다음 중 윈도우 운영체제 상에서 IIS FTP 서버 설정에서 지정할 사항으로 가장 부적절한 것은?

  1. 가상 디렉터리 설정
  2. active/passive 모드 지원 여부
  3. FTP 메시지 지정
  4. 홈 디렉토리 지정
(정답률: 47%)
  • active/passive 모드 지원 여부는 FTP 클라이언트와의 통신 방식을 결정하는 것으로, 이는 FTP 서버의 설정과는 관련이 없습니다. 따라서 가장 부적절한 것은 "active/passive 모드 지원 여부"입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

43. 유닉스 환경에서 일반 사용자들을 지원하기 위한 FTP 서버를 설치한 후의 일반적 설정 사항에 해당 되지 않은 것은?

  1. 익명접속 허용 여부
  2. 접속을 거부할 사용자 ID 리스트
  3. 포트번호
  4. 타임아웃 시간
(정답률: 58%)
  • FTP 서버를 설치한 후에는 일반 사용자들을 지원하기 위해 익명접속을 허용할지 여부를 설정할 수 있습니다. 또한 포트번호와 타임아웃 시간도 설정할 수 있습니다. 하지만 "접속을 거부할 사용자 ID 리스트"는 일반 사용자들을 지원하기 위한 설정 사항이 아닙니다. 이 설정은 특정 사용자들의 접속을 거부하기 위한 것으로, 보안을 강화하기 위해 사용됩니다. 따라서 이 설정은 일반 사용자들을 지원하기 위한 설정 사항이 아닙니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

44. TFTP에 대한 설명으로 옳지 않은 것은?

  1. UDP 69번 포트를 이용하여 데이터를 전송한다.
  2. 데이터의 전송속도가 우수하지만, 인증을 하지 않는다.
  3. FTP 명령어 중 USER, PASS 등 사용자 인증과 관련된 명령은 지원되지 않지만, 원격지 파일목록 보기를 위한 LIST, 데이터수신을 위한 RETR 등의 명령어는 지원된다.
  4. TFTP는 블라스터 웜으로 악용되어서 호스트를 감염시키는데 활용될 수 있다.
(정답률: 25%)
  • "TFTP는 데이터의 전송속도가 우수하지만, 인증을 하지 않는다."가 옳지 않은 설명이다. TFTP는 인증 기능이 없기 때문에 보안에 취약하다는 단점이 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

45. 다음은 인터넷 등록서비스의 일종에 대한 접속방식 연결순서를 개념적으로 설명한 것이다. 이 접속방식의 등록서비스에 대한 설명으로 가장 거리가 먼 것은?

  1. 데이터 전송을 위해 1024 이후 포트를 사용한다.
  2. 서버에서 21번 포트와 1024 이후 포트를 사용하여 연결한다.
  3. Exit는 연결을 종료하기 위한 Command Line 명령어이다.
  4. 보안을 위해서 서버에서 Passive 모드로 사용한 포트를 제한한다.
(정답률: 50%)
  • "Exit는 연결을 종료하기 위한 Command Line 명령어이다."는 FTP 접속방식과 관련된 설명이 아니기 때문에 가장 거리가 먼 것이다. 나머지 보기들은 FTP 접속방식과 관련된 설명이다.

    Exit는 FTP 연결을 종료하기 위한 Command Line 명령어이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

46. 메일 서버 서비스에 대해서 할 수 있는 서버공격 기법은?

  1. Active Contents
  2. UDP Bomb
  3. Syn Flooding
  4. Mail Bomb
(정답률: 64%)
  • 메일 서버 서비스에 대해서 할 수 있는 서버공격 기법 중 "Mail Bomb"은 대량의 스팸 메일을 보내는 공격 기법이다. 이는 메일 서버의 용량을 초과시켜 서비스를 마비시키는 효과가 있다. 따라서 이 기법이 정답이다. "Active Contents"는 웹 서버 공격 기법이고, "UDP Bomb"와 "Syn Flooding"은 네트워크 서비스 공격 기법이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

47. 다음 중 오픈소스 스팸 필터링 도구인 SpamAssassin에서 스팸 분류 방법으로 사용하는 것이 아닌 것은?(오류 신고가 접수된 문제입니다. 반드시 정답과 해설을 확인하시기 바랍니다.)

  1. 제목·본문 규칙 검사
  2. 첨부파일 검사
  3. 베이시언 필터링
  4. 헤더 검사
(정답률: 29%)
  • 정답은 "제목·본문 규칙 검사", "첨부파일 검사", "헤더 검사"입니다.

    SpamAssassin은 베이시언 필터링을 사용하여 스팸을 분류합니다. 베이시언 필터링은 이메일의 단어나 구절의 빈도와 확률을 분석하여 스팸 여부를 판단하는 방법입니다. 따라서 베이시언 필터링은 스팸 필터링에서 가장 일반적으로 사용되는 방법 중 하나입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

48. 다음은 웹 보안공격 방지에 대한 설명을 나열한 것이다. 어떤 웹 보안 공격을 방지하기 위한 설명인가?

  1. SQL Injection
  2. XSS
  3. 쿠키/세션 위조 공격방지 방법
  4. 좀비 쿠키 위조 공격방지 방법
(정답률: 71%)
  • 이미지에서 보이는 것은 쿠키와 세션을 이용한 인증 방식에서 사용되는 토큰 값이다. 이 값은 클라이언트 측에서 생성되어 서버로 전송되는데, 이때 공격자가 해당 값을 조작하여 인증을 우회하는 쿠키/세션 위조 공격이 발생할 수 있다. 이를 방지하기 위해서는 토큰 값의 무결성을 검증하고, HTTPS와 같은 보안 프로토콜을 사용하여 통신을 암호화하는 등의 방법을 사용해야 한다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

49. 다음에서 설명하고 있는 웹 서비스 공격 유형은 무엇인가?

  1. SQL Injection
  2. XSS(Cross Site Scripting)
  3. 업로드 취약점
  4. CSRF(Cross Site Request Forgery)
(정답률: 61%)
  • 이 유형은 "XSS(Cross Site Scripting)"이다. 그림에서는 입력 폼에 스크립트 코드를 삽입하여 공격하는 모습이 나와있다. 이를 통해 공격자는 사용자의 쿠키 정보를 탈취하거나, 악성 스크립트를 실행시켜 웹 페이지를 조작할 수 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

50. 웹과 데이터베이스를 연동한 어플리케이션에서 SQL injection 공격을 방어하기 위한 방지법이 아닌 것은?

  1. 로그인 창에 특수기호를 넣지 못하도록 한다.
  2. 인증 시에 2채널 인증을 한다.
  3. 원시 ODBC 에러를 출력한다.
  4. 스니핑을 통해서 모니터링을 하고 취약점을 개선한다.
(정답률: 48%)
  • "원시 ODBC 에러를 출력한다."는 SQL injection 공격을 방어하기 위한 방법이 아닙니다. 이유는 SQL injection 공격은 악의적인 SQL 쿼리를 입력하여 데이터베이스를 조작하는 것이기 때문에, 에러 메시지를 출력하는 것만으로는 공격을 막을 수 없습니다. 따라서, 보안적으로 안전한 코딩 및 데이터 검증, 파라미터화된 쿼리 등의 방법을 사용하여 SQL injection 공격을 방어해야 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

51. 컴퓨터시스템에 대한 공격 방법 중에서 메모리에 할당된 버퍼의 양을 초과하는 데이터를 입력하여 프로그램의 복귀 주소(return address)를 조작, 궁극적으로 공격자가 원하는 코드를 실행하도록 하는 공격은?

  1. 버퍼 오버플로우 공격
  2. Race Condition
  3. Active Contents
  4. Memory 경합
(정답률: 71%)
  • 버퍼 오버플로우 공격은 메모리에 할당된 버퍼의 크기를 초과하는 데이터를 입력하여 프로그램의 복귀 주소를 조작하는 공격이다. 이를 통해 공격자는 원하는 코드를 실행시킬 수 있으며, 보안 취약점으로 악용될 수 있다. 다른 보기들은 버퍼 오버플로우 공격과는 다른 공격 기법들이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

52. 데이터베이스 내의 자료 값들을 잘못된 갱신이나 불법조작으로부터 보호함으로써, 정확성을 유지하고자 하는 것은 아래의 DB보안 요구 사항 중 어느 것인가?

  1. 데이터 일관성
  2. 데이터 무결성
  3. 데이터 보안
  4. 데이터 접근제어
(정답률: 62%)
  • 정답: 데이터 무결성

    데이터 무결성은 데이터베이스 내의 자료 값들이 정확하고 일관성 있게 유지되는 것을 보장하는 보안 요구 사항입니다. 이를 위해 잘못된 갱신이나 불법조작으로부터 보호하는 기술적, 물리적, 관리적인 대책들이 필요합니다. 데이터 무결성을 유지함으로써 데이터베이스 내의 정보가 신뢰성 있게 사용될 수 있으며, 비즈니스나 조직의 의사 결정에 중요한 역할을 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

53. 오라클 데이터베이스의 보안설정 및 운영으로 옳지 않은 것은?

  1. 데이터베이스 설치이후 디폴트로 설정된 패스워드는 모두 변경되어야 한다.
  2. svrmgr 서비스를 제공하는 버전의 경우에는 Connect Internal에 암호가 설정되도록change_password 명령을 사용한다.
  3. MySQL의 경우 호스트 명령을 실행하는 프로시저는 삭제한다.
  4. UTL_File에 대한 실행 권한을 제한한다.
(정답률: 31%)
  • "svrmgr 서비스를 제공하는 버전의 경우에는 Connect Internal에 암호가 설정되도록change_password 명령을 사용한다."는 옳은 내용이다. 이유는 svrmgr 서비스를 제공하는 버전의 경우에는 Connect Internal에 암호가 설정되어 있지 않으면 보안상의 문제가 발생할 수 있기 때문이다. 따라서 암호를 설정해주는 것이 좋다. 다른 보기들은 모두 옳은 내용이다. 데이터베이스 설치 이후 디폴트로 설정된 패스워드는 변경해주는 것이 보안상 좋고, MySQL의 경우 호스트 명령을 실행하는 프로시저는 삭제해주는 것이 보안상 좋으며, UTL_File에 대한 실행 권한을 제한하는 것도 보안상 좋다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

54. VISA와 Master Card사가 신용카드를 기반으로 한 인터넷 상의 전자 결제를 안전하게 처리할 수 있도록 마련한 전자 결제과정 표준안은 무엇인가?

  1. SSL
  2. IPSec
  3. S-HTTP
  4. SET
(정답률: 63%)
  • 정답은 "SET"이다. SET은 Secure Electronic Transaction의 약자로, VISA와 Master Card사가 개발한 전자 결제과정 표준안이다. SET은 고객, 상인, 카드 발급사, 결제 게이트웨이 등 모든 결제 참여자들 간의 인증, 암호화, 전자서명 등의 보안 기능을 제공하여 안전한 전자 결제를 가능하게 한다. SSL, IPSec, S-HTTP는 모두 인터넷 보안 프로토콜이지만, SET은 전자 결제에 특화된 보안 프로토콜이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

55. SSL handshake과정이다. 순서를 옳게 나열한 것은?

  1. A, B, C, D, E, F
  2. D. E, A, B, C, F
  3. D, E, B, C, A, F
  4. D, B, C, A, F, E
(정답률: 37%)
  • SSL handshake 과정은 다음과 같다.

    1. ClientHello: 클라이언트가 서버에 접속 요청을 보내면서 사용 가능한 암호화 방식과 버전 정보를 전송한다.
    2. ServerHello: 서버는 클라이언트의 요청에 대한 응답으로 사용할 암호화 방식과 버전 정보를 전송한다.
    3. Certificate: 서버는 클라이언트에게 인증서를 전송한다.
    4. ServerKeyExchange: 서버는 클라이언트와 공유할 대칭키를 생성하고, 이를 암호화하여 전송한다.
    5. ClientKeyExchange: 클라이언트는 서버에서 전송받은 암호화된 대칭키를 복호화하여 공유한다.
    6. ChangeCipherSpec: 클라이언트와 서버는 암호화 방식을 변경한다.
    7. Finished: 클라이언트와 서버는 서로에게 인증을 요청하고, 인증이 완료되면 연결이 성공적으로 이루어졌음을 알리는 메시지를 교환한다.

    따라서, 옳은 순서는 D. E, A, B, C, F 이다. 이유는 다음과 같다.

    1. 클라이언트가 서버에 접속 요청을 보내면서 사용 가능한 암호화 방식과 버전 정보를 전송하는 ClientHello 메시지를 보낸다. (E)
    2. 서버는 클라이언트의 요청에 대한 응답으로 사용할 암호화 방식과 버전 정보를 전송하는 ServerHello 메시지를 보낸다. (A)
    3. 서버는 클라이언트에게 인증서를 전송하는 Certificate 메시지를 보낸다. (B)
    4. 서버는 클라이언트와 공유할 대칭키를 생성하고, 이를 암호화하여 전송하는 ServerKeyExchange 메시지를 보낸다. (C)
    5. 클라이언트는 서버에서 전송받은 암호화된 대칭키를 복호화하여 공유하는 ClientKeyExchange 메시지를 보낸다. (D)
    6. 클라이언트와 서버는 암호화 방식을 변경하는 ChangeCipherSpec 메시지를 교환한다. (F)
    7. 클라이언트와 서버는 서로에게 인증을 요청하고, 인증이 완료되면 연결이 성공적으로 이루어졌음을 알리는 메시지를 교환하는 Finished 메시지를 보낸다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

56. 무선플랫폼에서 보안 기술을 제공하기 위해 제시된 기술 중에서 WAP 기반 클라이언트/서버 간의 인증을 제공하며 적합한 인증서를 발급, 운영 관리하는 등 무선망에서의 공개키 기반구조를 의미하는 것은?

  1. PKI
  2. VPN
  3. WPKI
  4. SSL
(정답률: 63%)
  • WPKI는 무선망에서의 공개키 기반구조를 의미합니다. 이는 WAP 기반 클라이언트/서버 간의 인증을 제공하며 적합한 인증서를 발급, 운영 관리하는 등 보안 기술을 제공하기 위해 사용됩니다. 따라서, 다른 보기인 "PKI", "VPN", "SSL"은 무선플랫폼에서의 보안 기술과는 관련이 있지만, WPKI와는 직접적인 연관성이 없습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

57. 프락시 서버는 HTTP 헤더에 나타나는 값에 따라 분류가 가능하다. 다음은 어느 분류에 대한 설명인가?

  1. Transparent Proxy
  2. Distortion Proxy
  3. Server Proxy
  4. Client Proxy
(정답률: 28%)
  • 이 분류는 "Transparent Proxy"에 대한 설명이다. HTTP 헤더에 "Via" 필드가 있으며, 이 필드에 프락시 서버의 정보가 표시된다. "Transparent Proxy"는 이 필드를 추가하지 않고, 클라이언트와 서버 간의 통신을 중계하는 것으로, 클라이언트나 서버가 프락시 서버의 존재를 모르는 것이 특징이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

58. 다음 중에서 ebXML(Electronic business Extensible Markup Language)의 구성요소가 아닌 것은?

  1. CC(Core Component)
  2. RR(Registry and Repository)
  3. BP(Business Process)
  4. BP(Business Partners)
(정답률: 42%)
  • ebXML은 전자상거래를 위한 표준화된 프레임워크로, CC(Core Component), RR(Registry and Repository), BP(Business Process) 등의 구성요소로 이루어져 있습니다. 그러나 BP(Business Partners)는 ebXML의 구성요소가 아닙니다. BP는 전자상거래를 수행하는 비즈니스 파트너들을 의미하는 용어로, ebXML에서는 BP의 관리를 위한 기능을 제공하지만 구성요소로 분류되지는 않습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

59. 다음 중에서 EAM(Extranet Access Management : 통합 인증 및 접근 제어 관리 기술)에 관한 설명으로 옳지 않은 것은?

  1. 인증
  2. 권한 관리
  3. ERP(Enterprise Resource Planning)의 또 다른 명칭이다.
  4. 3A
(정답률: 63%)
  • "EAM은 ERP의 또 다른 명칭이다."는 옳지 않은 설명입니다. EAM은 ERP와는 별개의 기술로, 기업 내부나 외부에서 접근하는 사용자들의 인증과 권한 관리를 통합적으로 관리하는 기술입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

60. 다음은 웹 서비스에 대한 SQL Injection 공격에 대한 내용이다. 아래 내용을 분석할 때 공격자가 알 수 있는 정보가 아닌 것은?

  1. 피해시스템은 MS SQL을 데이터베이스로 사용하고 있다.
  2. admin_login에 k_test라는 계정이 있는 것을 알 수 있다.
  3. read.asp의 id 파라미터에 SQL Injection 취약점이 존재한다.
  4. admin_login 테이블의 login_name 컬럼의 data type은 nvarchar 타입이다.
(정답률: 25%)
  • 공격자가 알 수 있는 정보는 "admin_login에 k_test라는 계정이 있는 것을 알 수 있다." 이다. 이는 UNION SELECT 구문을 사용하여 admin_login 테이블에서 k_test 계정 정보를 가져온 결과이다. 나머지 정보들은 공격자가 이미 알고 있는 정보이거나, SQL Injection 취약점을 이용하여 얻을 수 있는 정보이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

4과목: 정보 보안 일반

61. 다음은 보안을 통해 제공되는 서비스들을 설명하고 있다. 다음 중 옳지 않은 것은?

  1. Capability List는 객체와 권한 연결 리스트 형태로 관리한다.
  2. Access Control List는 주체와 객체의 형태를 행렬형태로 구성하고 권한을 부여하여 관리한다.
  3. 주체와 객체를 1:N으로 매핑하여 관리의 편의성을 높이는 방법이 RBAC이다.
  4. 접근제어는 프로토콜 데이터 부분의 접근제어이다.
(정답률: 32%)
  • "접근제어는 프로토콜 데이터 부분의 접근제어이다."는 옳지 않은 설명이다. 접근제어는 주체가 객체에 접근할 때 권한을 부여하거나 제한하는 것을 말하며, 프로토콜 데이터 부분의 접근제어는 데이터의 무결성과 기밀성을 보호하기 위한 보안 기술 중 하나인 암호화 기술이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

62. 메시지에 대한 불법적인 공격자의 위협에는 수동적 공격과 능동적 공격이 있는데, 다음 중에서 옳게 짝지어진 것은?

  1. 수동적 공격 - 피싱
  2. 수동적 공격 – 세션 하이재킹
  3. 능동적 공격 - 메시지 변조
  4. 능동적 공격 - 스니핑
(정답률: 36%)
  • 능동적 공격은 공격자가 직접적으로 메시지를 변조하거나 가로채는 것을 말하며, 메시지 변조가 이에 해당합니다. 메시지 변조는 메시지의 내용을 변경하거나 추가하여 수신자가 원하지 않는 정보를 받게 만드는 공격입니다. 따라서 "능동적 공격 - 메시지 변조"가 옳은 짝이 됩니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

63. 다음 중에서 블록 알고리즘 종류와 특징을 옳게 설명한 것은?

  1. IDEA는 유럽에서 1990년 개발되었으며 PGP를 채택하고 8라운드의 알고리즘이다.
  2. AES 는 미국 연방표준 알고리즘으로 DES를 대신할 64비트 암호 알고리즘이다.
  3. SEED는 128비트 암호 알고리즘으로 NIST에서 개발한 대칭키 암호 알고리즘 표준이다.
  4. DES의 취약점을 보완하기 위하여 1997년 3-DES가 개발되었고 이것은 AES를 대신할 기술이다.
(정답률: 22%)
  • 정답은 "IDEA는 유럽에서 1990년 개발되었으며 PGP를 채택하고 8라운드의 알고리즘이다." 이다. 이유는 IDEA가 유럽에서 개발되었으며, PGP를 채택하고 8라운드의 알고리즘으로 구성되어 있다는 것이다. 다른 보기들은 AES는 128비트 암호 알고리즘이며, SEED는 NIST에서 개발한 대칭키 암호 알고리즘 표준이며, DES와 3-DES는 64비트 암호 알고리즘이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

64. 일반적인 범용 브라우저들(internet explorer, chrome, firefox 그리고 safari)를 이용한 전형적인 전자상거래에서 복합적인 문제로 현재 사용되지 않는 기법은?

  1. HTML
  2. Script Language
  3. SSL
  4. 동적 세션 키 생성
(정답률: 38%)
  • 정답은 "동적 세션 키 생성"입니다. 이유는 현재 대부분의 브라우저들이 SSL(암호화된 연결)을 지원하고 있기 때문에 보안적인 측면에서는 충분히 안전합니다. 또한 HTML과 Script Language을 이용하여 사용자와 상호작용하는 기능들도 많이 개발되어 있습니다. 하지만 동적 세션 키 생성은 보안적인 측면에서 취약점이 존재할 수 있기 때문에 현재는 사용되지 않는 기법입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

65. 커버로스(Kerberos) 인증에 대한 설명으로 옳지 않은 것은?

  1. 커버로스 인증은 MIT에서 개발한 중앙 집중적 인증 시스템이다.
  2. 커버로스 인증은 티켓 서버와 인증서버가 존재하고 티켓을 발급받아 이증시스템으로 인증한다.
  3. 커버로스는 대칭키 기반 인증시스템을 사용한다.
  4. 커버로스의 인증과정 중에서, 인증 서버는 사용자의 비대칭키로 메시지를 암호화해서 전송한다.
(정답률: 50%)
  • "커버로스의 인증과정 중에서, 인증 서버는 사용자의 비대칭키로 메시지를 암호화해서 전송한다." 이 설명은 옳지 않습니다. 커버로스 인증에서 인증 서버는 티켓을 발급하고, 이 티켓은 대칭키로 암호화되어 전송됩니다. 사용자는 이 티켓을 받아서 대칭키로 복호화하고, 이후에 대칭키를 사용하여 인증을 진행합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

66. 다음은 무엇에 대한 설명인가?

  1. SSL
  2. SET
  3. IPSec
  4. S-HTTP
(정답률: 81%)
  • 이 그림은 가상 사설망(VPN)을 구성하는 방법 중 하나인 IPSec을 나타내고 있습니다. IPSec은 인터넷상에서 안전한 통신을 위해 사용되는 프로토콜로, 데이터의 암호화와 인증을 수행하여 보안성을 강화합니다. 따라서 이 그림에서는 IPSec을 사용하여 안전한 통신을 구성하는 것을 보여주고 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

67. 다음 중 TLS의 보안 서비스에 해당되지 않는 것은?

  1. SSL을 대신하기 위한 차세대 안정 통신 규약이다.
  2. 암호화에는 3개의 다른 데이터 암호화 표준(DES)키를 사용한 3DES 기술을 지원한다.
  3. 관용키 기반 암호화시스템이다.
  4. 네트워크나 순차 패킷교환, 애플토크(Appletalk)등의 통신망 통신 규약에도 대응된다.
(정답률: 39%)
  • TLS의 보안 서비스에 해당되지 않는 것은 "관용키 기반 암호화시스템이다." 이다. TLS는 대칭키와 공개키 암호화 기술을 모두 사용하며, 관용키 기반 암호화 기술은 사용하지 않는다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

68. 행동학적 특성을 이용한 바이오 인식 기술의 종류에 해당되지 않는 것은?

  1. 음성
  2. 얼굴인식
  3. 키보드 입력
  4. 지문
(정답률: 25%)
  • 얼굴인식은 행동학적 특성이 아닌 생체학적 특성에 해당한다. 다른 보기들은 모두 행동학적 특성을 이용한 바이오 인식 기술이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

69. 다음 중에서 사용자 인증 기술에서 바이오인식 기술 요구사항이 아닌 것은?

  1. 보편성
  2. 유일성
  3. 불변성
  4. 주관성
(정답률: 53%)
  • 주관성은 사용자 인증 기술에서 요구되는 것이 아닙니다. 다른 세 가지 요구사항인 보편성, 유일성, 불변성은 모두 바이오인식 기술에서 중요한 요소입니다. 보편성은 모든 사용자가 사용할 수 있어야 하며, 유일성은 각 사용자가 고유한 특징을 가져야 합니다. 불변성은 시간이 지나도 변하지 않아야 합니다. 하지만 주관성은 개인의 주관적인 판단이나 의견에 따라 달라질 수 있는 것으로, 인증 기술에서 요구되지 않습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

70. RFID 태그와 판독기 사이에 사전에 약속된 형태의 무의미한 전자 신호를 지속적으로 발생시켜 불법적인 판독기가 태그와 통신하지 못하도록 함으로써 RFID 태그의 프라이버시를 보호하는 기법은?

  1. Faraday Cage
  2. Active Jamming
  3. Kill Tag
  4. Blocker Tag
(정답률: 40%)
  • Active Jamming은 RFID 태그와 판독기 사이에 무의미한 전자 신호를 지속적으로 발생시켜 불법적인 판독기가 태그와 통신하지 못하도록 함으로써 RFID 태그의 프라이버시를 보호하는 기법이기 때문에 정답입니다. 다른 보기들은 RFID 태그의 프라이버시를 보호하는 다른 방법들입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

71. Lamport의 일회용 패스워드의 안정성은 무엇에 근거하는가?

  1. 공개키 암호화
  2. 키 분배
  3. 해쉬 함수의 일방향성
  4. 대칭키 암호화
(정답률: 54%)
  • Lamport의 일회용 패스워드는 해쉬 함수의 일방향성에 기반하여 안전성이 보장됩니다. 해쉬 함수는 입력값을 고정된 길이의 출력값으로 변환하는 함수로, 일방향성이란 입력값으로 출력값을 계산할 수는 있지만, 출력값으로 입력값을 역산할 수 없다는 특징을 가지고 있습니다. 따라서 일회용 패스워드를 생성할 때 사용되는 개인키를 해시 함수로 처리하여 공개키를 생성하면, 개인키를 알지 못하는 공격자는 공개키를 통해 일회용 패스워드를 생성해도 원래 개인키를 유추할 수 없습니다. 이러한 방식으로 일회용 패스워드를 생성하면, 공격자가 패스워드를 탈취하더라도 다음 번 로그인 시에는 새로운 일회용 패스워드를 사용하기 때문에 안전성이 보장됩니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

72. 다음 중에서 디바이스 인증 기술의 장점이 아닌 것은?(오류 신고가 접수된 문제입니다. 반드시 정답과 해설을 확인하시기 바랍니다.)

  1. 보안성
  2. 경제성
  3. 상호 연동성
  4. 책임 추적성
(정답률: 13%)
  • 디바이스 인증 기술의 장점 중에서 상호 연동성은 아무런 관련이 없는 기술입니다. 따라서 상호 연동성은 디바이스 인증 기술의 장점이 아닙니다.

    보안성은 인증된 디바이스만이 접근 가능하므로 보안성이 높아집니다. 경제성은 인증된 디바이스만을 사용하므로 비인가된 디바이스로 인한 문제를 예방할 수 있어 비용을 절감할 수 있습니다. 책임 추적성은 인증된 디바이스를 추적하여 문제가 발생했을 때 책임을 추적할 수 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

73. 다음에서 설명하는 키 교환 알고리즘은 무엇인가?

  1. Diffie-Hellman
  2. DES
  3. AES
  4. SEED
(정답률: 83%)
  • 위 그림은 Diffie-Hellman 키 교환 알고리즘을 나타낸다. 이 알고리즘은 공개키 암호화 방식 중 하나로, 통신 상대방과 공유할 비밀키를 안전하게 교환하기 위해 사용된다. 이 알고리즘은 대칭키 암호화 방식인 DES, AES, SEED와는 다르게 공개키 암호화 방식으로, 안전한 키 교환을 위해 사용된다. 따라서 정답은 "Diffie-Hellman"이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

74. 다음은 Diffie-Hellman 키(Key) 사전 분배 방법이다. 옳게 나열한 것은?

  1. 1-2-3
  2. 3-1-2
  3. 1-3-2
  4. 2-1-3
(정답률: 52%)
  • Diffie-Hellman 키(Key) 사전 분배 방법은 다음과 같은 순서로 이루어진다.

    1. Alice와 Bob은 서로 소인 p와 g를 정한다.
    2. Alice는 임의의 비밀값 a를 선택하고, Bob은 임의의 비밀값 b를 선택한다.
    3. Alice는 g^a mod p 값을 계산하여 Bob에게 보낸다.
    4. Bob은 g^b mod p 값을 계산하여 Alice에게 보낸다.
    5. Alice는 받은 값인 g^b mod p를 a로 거듭제곱하여 공유 비밀키를 계산한다.
    6. Bob은 받은 값인 g^a mod p를 b로 거듭제곱하여 공유 비밀키를 계산한다.

    따라서, 옳게 나열한 것은 "2-1-3"이다. 먼저 Bob이 a와 p를 선택하고, g^a mod p 값을 계산하여 Alice에게 보내는 것이 2번째 단계이다. 그 다음으로 Alice가 b와 p를 선택하고, g^b mod p 값을 계산하여 Bob에게 보내는 것이 1번째 단계이다. 마지막으로 Alice와 Bob이 각각 받은 값을 이용하여 공유 비밀키를 계산하는 것이 3번째 단계이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

75. 전자상거래의 요구사항과 해결 방법을 옳게 연결한 것은?

  1. 인증 – 사용자 데이터를 암호화
  2. 식별 – 패스워드로 사용자를 확인
  3. 재사용 – 거래된 서명 재사용 가능
  4. 거래 당사자의 거래행위 부인 - 전자서명 및 공인인증제도 활용
(정답률: 40%)
  • 전자상거래에서 거래 당사자의 거래행위 부인을 방지하기 위해서는 전자서명 및 공인인증제도를 활용해야 합니다. 이는 사용자 데이터를 암호화하고, 패스워드로 사용자를 확인하여 식별하며, 거래된 서명을 재사용할 수 없도록 합니다. 이를 통해 거래 당사자가 거래행위를 부인하는 것을 방지할 수 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

76. 다음 중에서 전자 서명의 조건이 아닌 것은?

  1. 서명자 이외의 타인이 서명을 위조하기 어려워야 함
  2. 서명한 문서의 내용은 변경 불가능
  3. 허가받은 자만 검증 가능
  4. 다른 전자문서의 서명으로 재사용 불가능
(정답률: 52%)
  • "허가받은 자만 검증 가능"은 전자 서명의 조건이 아니라 제한사항입니다. 이는 전자 서명을 검증할 수 있는 권한이 있는 사람만 해당 서명을 검증할 수 있다는 것을 의미합니다. 이는 보안성을 높이기 위한 조치로, 무분별한 검증을 방지하고 전자 서명의 신뢰성을 보장하기 위한 것입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

77. 정보를 암호화하여 상대편에게 전송하면 부당한 사용자로부터 도청을 막을 수는 있다. 하지만, 그 전송 데이터의 위조나 변조 그리고 부인 등을 막을 수는 없다. 이러한 문제점들을 방지하고자 사용하는 기술은?

  1. 전자서명
  2. OCSP
  3. 암호화
  4. Kerberos 인증
(정답률: 50%)
  • 전자서명은 전송 데이터의 위조나 변조, 부인 등을 막기 위해 사용하는 기술로, 전자적으로 생성된 서명을 통해 데이터의 무결성과 인증을 보장한다. 따라서, 전자서명은 암호화와는 다른 개념이며, OCSP나 Kerberos 인증과도 다른 기술이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

78. 다음 중 공개키 기반 구조(PKI)에서 최상위 인증기관 (CA)를 무엇이라 하는가?

  1. RA
  2. PMI
  3. Root CA
  4. OCSP
(정답률: 62%)
  • 공개키 기반 구조(PKI)에서 최상위 인증기관 (CA)를 Root CA라고 부르는 이유는, 다른 모든 인증기관들의 인증서를 발급하고 관리하는 최상위 기관이기 때문이다. Root CA는 인증서의 신뢰성과 보안성을 보장하며, 인증서의 체인 구조에서 가장 상위에 위치한다. 따라서 Root CA의 인증서가 유효하다면, 그 아래에 있는 모든 인증서들도 신뢰할 수 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

79. 다음 기법 중 E-Mail 메시지 인증에 대한 설명으로 가장 옳은 것은?(오류 신고가 접수된 문제입니다. 반드시 정답과 해설을 확인하시기 바랍니다.)

  1. 수신자의 공개키를 이용하여 메시지에 서명하고, 수신자의 공개키를 이용하여 메시지를 암호화 한다.
  2. 송신자의 개인키를 이용하여 메시지에 서명하고, 수신자의 공개키를 이용하여 메시지를 암호화 한다.
  3. 수신자의 개인키를 이용하여 메시지에 서명하고, 송신자의 공개키를 이용하여 메시지를 암호화 한다.
  4. 송신자의 개인키를 이용하여 메시지에 서명하고, 송신자의 공개키를 이용하여 메시지를 암호화 한다.
(정답률: 20%)
  • 송신자의 개인키를 이용하여 메시지에 서명하고, 송신자의 공개키를 이용하여 메시지를 암호화 한다. 이는 전자서명과 암호화를 동시에 수행하여 메시지의 무결성과 기밀성을 보장하기 위한 방법이다. 송신자는 자신의 개인키로 메시지에 서명하여 메시지가 송신자에 의해 생성되었음을 증명하고, 송신자의 공개키로 메시지를 암호화하여 오직 수신자만이 메시지를 해독할 수 있도록 한다. 이를 통해 메시지의 변조나 탈취를 방지하고, 안전하게 전송할 수 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

80. LFSR에 대한 설명으로 옳지 않은 것은?

  1. 유한상태기계로 달성할 수 있는 최대주기수열을 얻을 수 있다.
  2. 선형복잡도를 수학적으로 나타내면 최소다항식의 차수를 의미한다.
  3. LFSR의 길이가 크면 쉽게 해독될 수 있다.
  4. LSFR의 길이 중 최소의 길이를 선형복잡도라고 한다.
(정답률: 60%)
  • LFSR의 길이가 크면 쉽게 해독될 수 있다는 것은 옳지 않습니다. LFSR의 길이가 길수록 주기가 길어지고, 더욱 복잡한 암호화가 가능해지기 때문에 보안성이 높아집니다. 따라서 LFSR의 길이가 크면 해독이 어려워집니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

5과목: 정보보안 관리 및 법규

81. 다음 중 정성적 위험분석 방법으로 짝지어진 것을 선택하시오?

  1. NPV, 파레토 차트
  2. 비용가치 분석, 델파이
  3. 델파이, 순위결정법
  4. 비용가치 분석, 순위결정법
(정답률: 44%)
  • 정성적 위험분석 방법은 주관적인 판단과 경험을 기반으로 위험을 평가하는 방법입니다. 델파이는 전문가들의 의견을 수렴하여 위험을 평가하는 방법이며, 순위결정법은 여러 가지 위험요인을 순위화하여 우선순위를 결정하는 방법입니다. 따라서 델파이와 순위결정법은 모두 주관적인 판단을 기반으로 위험을 평가하는 방법이므로 정성적 위험분석 방법으로 짝지어진 것입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

82. 개인정보를 취급할 때에는 개인정보의 분실, 도난, 누출, 변조 또는 훼손을 방지하기 위해서 기술적, 관리적 보호조치를 취해야 하는 사항이 아닌 것은 무엇인가?

  1. 정보의 주체가 언제든지 쉽게 확인할 수 있는 조치
  2. 개인정보처리에 대한 감독
  3. 업무범위를 초과하여 개인정보를 이용하면 안 됨
  4. 개인정보 동의를 안전하게 받을 수 있는 보호조치
(정답률: 22%)
  • 개인정보 동의를 안전하게 받을 수 있는 보호조치는 개인정보를 수집하는 단계에서 가장 중요한 보호조치 중 하나입니다. 이는 개인정보를 수집할 때 정보주체의 동의를 받는 과정에서 보호조치를 취함으로써 개인정보의 분실, 도난, 누출, 변조 또는 훼손을 방지할 수 있기 때문입니다. 따라서 개인정보 동의서를 안전하게 보관하고, 정보주체가 언제든지 확인할 수 있도록 보호조치를 취해야 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

83. 다음은 침해사고 대응절차에 대한 설명이다. 침해사고 대응 1단계부터 6단계까지 순서를 올바르게 한 것은 무엇인가?

  1. 1-2-3-4-5-6
  2. 3-4-5-6-2-1
  3. 1-2-3-5-6-4
  4. 1-2-4-5-3-6
(정답률: 52%)
  • 1단계는 침해사고 발생을 인지하고 대응팀을 구성하는 것이다. 2단계는 침해사고의 범위와 심각도를 파악하는 것이다. 3단계는 침해사고를 조사하고 분석하는 것이다. 4단계는 침해사고를 제어하고 복구하는 것이다. 5단계는 침해사고를 예방하기 위한 대책을 마련하는 것이다. 6단계는 침해사고 대응 결과를 평가하고 개선하는 것이다. 따라서, 정답은 "1-2-4-5-3-6"이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

84. 다음 중 전자서명법에 의해서 공인인증서가 폐지되어야 하는 사유가 아닌 것은 무엇인가?

  1. 가입자 또는 대리인이 공인인증서 폐지를 신청한 경우
  2. 가입자가 부정한 방법으로 공인인증서를 발급받은 사실을 인지한 경우
  3. 공인인증서의 인증기간이 경과한 경우
  4. 가입자의 사망, 실종 선고 또는 해산 사실을 인지한 경우
(정답률: 44%)
  • 공인인증서의 인증기간이 경과한 경우는 전자서명법에 의해서 공인인증서가 폐지되어야 하는 사유가 아닙니다. 공인인증서는 인증기간이 만료되면 갱신이 필요하지만, 폐지되는 것은 아닙니다. 따라서 정답은 "공인인증서의 인증기간이 경과한 경우"입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

85. 다음 같은 개인정보보호에 대한 시책 마련은 어느 법률에서 규정하고 있는가?

  1. 개인정보보호법
  2. 전자서명법
  3. 정보통신망 이용촉진 및 정보보호 등에 관한 법률
  4. 정보통신기반 보호법
(정답률: 65%)
  • 이미지에서 언급된 개인정보보호에 대한 시책은 "정보통신망 이용촉진 및 정보보호 등에 관한 법률"에서 규정하고 있습니다. 이 법은 인터넷 등 정보통신망을 통해 개인정보를 처리하는 경우에 대한 법적 규제를 담당하고 있습니다. 이 법은 개인정보의 수집, 이용, 제공, 보호 등에 대한 기준을 제시하고 있으며, 개인정보 침해 사고 발생 시에는 적극적인 대응을 요구하고 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

86. 전자서명법에서 전자서명에 대한 설명이다. 올바르지 않은 것은 무엇인가?

  1. 누구든지 타인의 명의로 공인인증서를 발급받거나 발급받을 수 있도록 하여서는 아니 된다.
  2. 누구든지 공인인증서가 아닌 인증서 등을 공인인증서로 혼돈하게 하거나 혼동할 우려가 있는 유사한 표시를 사용하거나 허위로 공인인증서의 사용을 표시하여서는 아니 된다.
  3. 누구든지 공인인증서를 이용범위 또는 용도에서 벗어나 부정하게 사용하여서는 아니 된다,
  4. 법원이 허락하는 경우 타인의 명의로 공인인증서를 발급받을 수 있다.
(정답률: 50%)
  • "법원이 허락하는 경우 타인의 명의로 공인인증서를 발급받을 수 있다."는 올바르지 않은 설명이다. 전자서명법에서는 누구든지 타인의 명의로 공인인증서를 발급받거나 발급받을 수 있도록 하여서는 안 된다고 명시하고 있다. 이는 개인정보 보호와 인증서의 신뢰성을 보장하기 위한 조치이다. 따라서 법원이 허락하는 경우를 제외하고는 타인의 명의로 공인인증서를 발급받을 수 없다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

87. 다음은 정보보호 관리측면에서 무엇에 대한 정의인가?

  1. 자산
  2. 취약점
  3. 위험
  4. 손실
(정답률: 56%)
  • 위험은 자산에 대한 취약점으로 인해 발생할 수 있는 손실의 가능성을 의미한다. 즉, 자산이 취약점에 노출되어 있을 때, 그 자산에 대한 손실이 발생할 가능성이 있다는 것을 나타낸다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

88. 정보보호의 예방대책을 관리적 예방대책과 기술적 예방대책으로 나누어질 때, 관리적 예방대책에 속하는 것은 무엇인가?

  1. 방화벽에 패킷 필터링 기능 활성화
  2. 전송되는 메시지에 대한 암호화
  3. 복구를 위한 백업 실행
  4. 문서처리 순서 표준화
(정답률: 54%)
  • 관리적 예방대책은 조직 내부에서 정보보호를 위한 정책, 절차, 교육 등을 통해 인적 요소를 관리하는 것이다. 따라서 문서처리 순서 표준화는 조직 내부에서 문서를 처리하는 방법을 표준화하여 인적 실수나 부주의로 인한 정보 유출을 방지하기 위한 관리적 예방대책이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

89. 다음 정보보호 교육에 대한 설명으로 옳지 않은 것은 무엇인가?

  1. 정보보호 교육은 정기적으로 실시하며 교육은 온라인과 오프라인으로 진행할 수 있다.
  2. 정보보호 교육 담당자는 교육과정 개발, 교육 실시를 주관하며 교육완료 후 교육효과에 대한 내용을 관리해야 한다.
  3. 훈련 받는 대상자는 정보보호에 관련된 업무를 수행하는 직원만 교육을 평가하여 다음 교육에 반영할 수 있도록 노력해야 한다.
  4. 교육은 수시교육, 정기교육, 정보공유 형태로 1년 2회 이상 실시한다.
(정답률: 45%)
  • "훈련 받는 대상자는 정보보호에 관련된 업무를 수행하는 직원만 교육을 평가하여 다음 교육에 반영할 수 있도록 노력해야 한다."이 옳지 않은 설명입니다. 모든 훈련 받는 대상자가 교육을 평가하고 피드백을 제공함으로써 교육의 효과를 높일 수 있습니다. 이를 통해 교육의 내용과 방법을 개선하고 보완할 수 있습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

90. 다음 중 정보시스템 관리 책임자의 주요 임무가 아닌 것은 무엇인가?

  1. 정보기술 표준 지침 실행여부 확인
  2. 정보시스템에 대한 주기적인 백업과 복구
  3. 정보시스템 운영 매뉴얼 변경관리 및 현행화
  4. 조직의 전반적인 보안인식 프로그램 관리
(정답률: 25%)
  • 조직의 전반적인 보안인식 프로그램 관리는 정보시스템 관리 책임자의 주요 임무 중 하나가 아닙니다. 이는 조직 내 모든 구성원이 보안에 대한 인식을 가지고 적극적으로 보안 정책을 준수할 수 있도록 지원하는 것으로, 정보시스템 관리 책임자의 역할보다는 보안 담당자나 교육 담당자의 역할에 더 가깝습니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

91. 다음 중 전자서명법에서 정의한 용어가 아닌 것은 무엇인가?

  1. 전자서명생성정보는 전자서명을 생성하기 위하여 이용하는 전자적 정보를 말한다.
  2. 공인인증서는 제 15조 규정에 따라 공인인증기관이 발급하는 인증서를 말한다.
  3. 전자서명검증정보는 전자서명을 검증하기 위하여 이용하는 전자적 정보를 말한다.
  4. 인증기관정보는 인증서 발급에 대한 정보이다.
(정답률: 49%)
  • 정답: 인증기관정보는 인증서 발급에 대한 정보이다.

    설명: 전자서명생성정보는 전자서명을 생성하기 위한 정보, 전자서명검증정보는 전자서명을 검증하기 위한 정보, 공인인증서는 공인인증기관이 발급하는 인증서를 말하는 용어이다. 인증기관정보는 인증서 발급에 대한 정보를 말한다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

92. 다음 중 정보통신서비스 제공자 등이 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리 시스템의 접근권한을 변경 또는 말소하기 위한 방법 중 가장 적합한 것은 무엇인가?

  1. 개인정보처리시스템의 접근권한은 변경일자를 정해서 해당일자에만 변경처리를 한다.
  2. 인사 DB와 개인정보처리시스템을 실시간 연동시켜 개인정보취급자가 자동적으로 전보 또는 퇴직 시스템의 계정도 동시 삭제한다.
  3. 개인정보처리시스템에서 권한관리는 담당자를 지정해서 담당자에 의해서만 관리하고 담당자는 보안상 반드시 1인으로 한다.
  4. 접근권한에 대한 말소는 개인정보취급자가 퇴사 이후에도 업무인수인계 측면에서 일정한 기간 동안 권한을 유지해야 한다.
(정답률: 55%)
  • 정답은 "인사 DB와 개인정보처리시스템을 실시간 연동시켜 개인정보취급자가 자동적으로 전보 또는 퇴직 시스템의 계정도 동시 삭제한다."이다. 이유는 인사 DB와 개인정보처리시스템을 실시간 연동시키면 개인정보취급자의 전보 또는 퇴직 시 인사 DB에서 해당 계정을 삭제하면 개인정보처리시스템에서도 자동으로 접근권한이 말소되기 때문이다. 이를 통해 불필요한 접근권한 부여로 인한 정보유출 등의 문제를 예방할 수 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

93. 다음 중 용어에 대한 설명으로 옳지 않은 것은 무엇인가?

  1. 정성적 기준 : 자산 도입비용, 자산복구비용, 자산복구비용의 기준이 됨
  2. 정성적 기준 : 정보자산의 우선순위 식별
  3. 정량적 기준 : 정보자산의 취약점에 대한 피해를 산정
  4. 정량적 기준 : 영향도 분석 결과를 수치화하여 산정
(정답률: 47%)
  • "정성적 기준 : 자산 도입비용, 자산복구비용, 자산복구비용의 기준이 됨"이 옳지 않은 것이다. 이는 "정량적 기준"에 해당하는 내용이다. 정성적 기준은 정보자산의 우선순위 식별에 대한 내용이다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

94. 다음은 정보통신서비스 제공자가 정보통신망 법의 규정을 위하여 부담하게 되는 손해배상액에 관한 규정이다. ( )에 적합한 것을 선택하시오.

  1. 피해, 책임
  2. 피해, 과실
  3. 손해, 책임
  4. 손해, 과실
(정답률: 34%)
  • 정답: "손해, 과실"

    이유: 정보통신서비스 제공자가 정보통신망 법의 규정을 위반하여 이용자에게 손해를 입힌 경우, 이용자는 그 손해를 입은 만큼의 배상을 받을 수 있습니다. 이때, 정보통신서비스 제공자가 책임을 지는 것은 이용자의 손해가 발생한 경우에 한정되며, 그 손해가 발생한 원인이 정보통신서비스 제공자의 과실에 의한 것이어야 합니다. 따라서, "손해, 과실"이 정답입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

95. 다음 중 위험관리계획의 과정에 대한 설명으로 옳지 않은 것은 무엇인가?

  1. 일반적으로 효과적인 보안에는 자산에 대한 보안계층이 단일화 되어 있는 하나의 단일화된 대책의 조합이 요구된다.
  2. 위험관리 시에 가장 먼저 수행하는 것이 위험관리계획이다.
  3. 위험관리계획은 위험관리 범위와 조직, 책임과 역할 등이 나와 있다.
  4. 위험관리계획은 최초작성 이후에 변경될 수 있다.
(정답률: 30%)
  • "일반적으로 효과적인 보안에는 자산에 대한 보안계층이 단일화 되어 있는 하나의 단일화된 대책의 조합이 요구된다."가 옳은 설명이다.

    정답: 없음.

    해설: 위험관리계획의 과정에 대한 설명으로 모두 옳은 내용이다. "일반적으로 효과적인 보안에는 자산에 대한 보안계층이 단일화 되어 있는 하나의 단일화된 대책의 조합이 요구된다."는 보안에 대한 일반적인 원칙 중 하나로, 자산에 대한 보안을 단일화된 대책으로 관리하는 것이 효과적이라는 것을 의미한다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

96. 다음 중 위험분석 시 정량적 분석의 단점으로 올바른 것은 무엇인가?

  1. 계산이 단순하고 정량적으로 측정할 수 있다.
  2. 민간도 분석과 같은 독립변수와 종속변수 간의 관계를 수치화시켜서 정성적으로 분석을 수행한다.
  3. 정성적 분석은 시나리오 법 등을 사용하고 정량적 분석은 델파이법을 사용한다.
  4. 계산이 복잡하여 분석하는데 시간, 노력, 비용이 많이 든다.
(정답률: 44%)
  • "계산이 복잡하여 분석하는데 시간, 노력, 비용이 많이 든다."는 정량적 분석의 단점으로 올바른 것이다. 이는 정량적 분석에서 많은 데이터와 변수를 고려해야 하기 때문에 계산이 복잡해지고 분석하는데 많은 시간, 노력, 비용이 들어간다는 것을 의미한다. 따라서 정량적 분석을 수행할 때는 이러한 단점을 고려하여 적절한 분석 방법을 선택하고, 분석에 필요한 자원을 충분히 확보하는 것이 중요하다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

97. 암호 알고리즘에 대한 안전성 평가에 대한 설명으로 옳지 않은 것은 무엇인가?

  1. 암호화 알고리즘은 128Bit 이상의 키를 사용하여 안정성을 확보한다.
  2. 암호화를 통한 충돌, 복잡도 등에 대한 안전성 확보가 필요하다.
  3. 국가사이버안전센터 및 한국인터넷진흥원에서 권고하는 암호기법을 사용하는 것이 안전하다.
  4. 암호모듈 안정성 평가는 CC(Common Criteria)에 평가기준 및 방법이 정의되어 있다.
(정답률: 27%)
  • "국가사이버안전센터 및 한국인터넷진흥원에서 권고하는 암호기법을 사용하는 것이 안전하다."는 옳지 않은 설명이다. 국가사이버안전센터 및 한국인터넷진흥원에서 권고하는 암호기법이 안전하다는 보장이 없기 때문이다. 암호화 알고리즘의 안전성 평가는 보다 객관적이고 체계적인 평가 기준과 방법이 필요하며, 이를 위해 CC(Common Criteria)에서 평가기준 및 방법이 정의되어 있다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

98. 다음 중 정보통신망법에 의하여 개인정보를 제 3자에게 제공하기 위하여 동의를 받을 경우에 제 3자에게 알려야 하는 사항이 아닌 것은 무엇인가?

  1. 개인정보 제공계약의 내용
  2. 개인정보에 대한 수탁자의 이용목적
  3. 개인정보에 대한 제 3자 제공여부
  4. 개인정보 취급을 위탁하는 업무
(정답률: 31%)
  • 정답은 "개인정보 제공계약의 내용"입니다. 개인정보 제공계약의 내용은 개인정보를 제공받는 제 3자와의 계약 내용으로, 개인정보 보호를 위한 내용이므로 제 3자에게 알려줄 필요가 없습니다. 다른 보기들은 개인정보 제공에 관련된 중요한 사항들입니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

99. 다음 중 정보보호의 주요 목적이 아닌 것은 무엇인가?

  1. 기밀성
  2. 무결성
  3. 정합성
  4. 가용성
(정답률: 59%)
  • 정합성은 정보가 정확하고 완전하게 유지되는 것을 의미합니다. 이는 정보의 무결성과 밀접한 관련이 있지만, 정보의 무결성은 정보가 변조되지 않았는지를 확인하는 것에 초점을 둔 반면, 정보의 정합성은 정보가 일관성 있게 유지되는 것을 보장하는 것에 초점을 둡니다. 따라서 정보보호의 주요 목적은 기밀성, 무결성, 가용성을 보장하는 것이며, 정합성은 이 중에서는 주요 목적이 아닙니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

100. 전자서명법 제15조(인증서 발급 등) 2항에서 정한 공인인증기관이 발급하는 인증서에 포함되어야 하는 것이 아닌 것은 무엇인가?

  1. 가입자의 이름
  2. 가입자의 전자서명검증정보
  3. 공인인증서 일련번호
  4. 인증서 취소목록 및 가입자의 전자서명생성
(정답률: 54%)
  • 인증서 취소목록 및 가입자의 전자서명생성은 인증서 발급과는 관련이 없는 정보이기 때문에 포함되지 않아야 합니다. 이 정보는 인증서가 유효하지 않은 경우 취소되었음을 알리는 목록과 가입자가 전자서명을 생성한 내역을 기록하는데 사용됩니다. 따라서 이 정보는 인증서의 발급과는 별도로 관리되어야 합니다.
profile_image
1

*오류신고 접수시 100포인트 지급해드립니다.

< 이전회차목록